August 17, 2026 – IoT OT Security News

WordPress User Profile Builder プラグインの脆弱性 CVE-2026-15826 が FIX：管理者権限奪取の恐れ

WordPress Plugin Flaw Exposes 40,000 Sites to Admin Takeover

2026/08/17 InfoSecurity — WordPress の 40,000 件を超えるサイトが、User Profile Builder プラグインのバージョン 3.16.4 以下に存在する認証回避の脆弱性 CVE-2026-15826 (CVSS 9.8) にさらされている。この脆弱性を悪用する未認証の攻撃者は、サイトの管理者アカウントへアクセスする可能性があり、この欠陥によって管理者権限を完全に奪取できる可能性があるが、悪用の可否は特定の設定に依存する。

Roundcube の複数の脆弱性が FIX：深刻な RCE／SSRF／XSS などの問題に対処

Roundcube 1.6.18 and 1.7.3 Released With Fix for RCE and SSRF Vulnerabilities

2026/08/17 CyberSecurityNews — Roundcube は、同ソフトウェアに影響を及ぼす、11件のセキュリティ脆弱性に対処するバージョン 1.6.18／1.7.3 をリリースした。このアップデートでは、リモート・コード実行 (RCE) の脆弱性／サーバーサイド・リクエスト・フォージェリ (SSRF)／インジェクション脆弱性／蓄積型クロスサイト・スクリプティング (XSS) などの問題が修正されている。

インフォスティーラーが 740 万台のホストを侵害：2026年前半で約 17 億件の認証情報が盗まれた

Infostealers Hit 7.4M Hosts and Steal 1.7 Billion Credentials in 6 Months

2026/08/17 hackread — Flashpoint の “2026 Global Threat Intelligence Report: Midyear Edition” によると、サイバー犯罪者は AI の運用をプライベート・インフラへと移行する一方で、自動化を悪用することでフィッシング／マルウェア開発／脆弱性の悪用を高速化している。8月13日に公開されたこのレポートは、2026年1月1日〜6月30日に記録されたアクティビティを対象とするものである。Flashpoint の Primary Source Collection に基づく調査結果は、違法フォーラムや非公開コミュニケーション・チャネルなどの犯罪関連の情報源で監視してきた、3.9 PB 以上のデータにより構成されている。

GitLab GraphQL の脆弱性 CVE-2026-19478 が FIX：公開プロジェクトの変更／削除が可能

Critical GitLab GraphQL Flaw Could Let Unauthenticated Attackers Delete Public Projects

2026/08/17 TheHackerNews — GitLab は、Community Edition (CE)／Enterprise Edition (EE) ソフトウェアに影響を及ぼす深刻な脆弱性に対処するセキュリティ・アップデートをリリースした。この脆弱性を悪用する未認証のリモート攻撃者は、特定の条件下において、公開プロジェクトやユーザー・データを変更／削除する可能性がある。この脆弱性 CVE-2026-19478 (CVSS 9.4) は、GitLab により Critical と評価されている。

Sysdig AI CNAPP Agent：ビジネス・リスクの特定と修復における推奨事項を提示

Sysdig AI CNAPP Agents Identify Threats and Surface Remediation Recommendations

2026/08/17 SecurityBoulevard — Sysdig は、Cloud Native Application Protection Platform (CNAPP) 向けに一連の人工知能 (AI) エージェントを導入した。これらのエージェントは、ランタイムで収集したデータを用いて、緊急の対応を必要とするビジネス・リスクを特定し、修復に関する推奨事項を提示するよう特別にトレーニングされている。Sysdig の最高情報セキュリティ責任者である Conor Sherman によると、AI を悪用する攻撃者がマシン・スピードでサイバー攻撃を実施するケースが増えるなか、Sysdig Secure AI を活用するサイバーセキュリティ・チームも迅速に対応できるようになる。

Microsoft SCCM の脆弱性 CVE-2026-47301：7月の Patch Tuesday 後も攻撃チェーンに未修正の弱点が残る RCE

Microsoft SCCM Vulnerability Chained to Execute Malicious Code Remotely

2026/08/17 CyberSecurityNews — Microsoft の System Center Configuration Manager (SCCM) に影響を及ぼす重大な攻撃につながる攻撃チェーンを、セキュリティ研究者たちが公表した。この攻撃チェーンに含まれる欠陥を悪用する攻撃者が、SCCM のプライマリ・サイト・サーバ上でリモート・コード実行を達成し、組織が管理する Windows 環境を制御する可能性がある。

EU のサイバーセキュリティ標準：17分野をカバーする承認プロセスを ETSI が開始

ETSI Proposes 17 Cybersecurity Standards to Support Cyber Resilience Act

2026/08/17 InfoSecurity — 欧州向けの技術標準は、2027年12月に全面適用される EU Cyber Resilience Act (CRA) にメーカーが対応できるよう進化している。EU が認める 3 つの公式標準化機関の 1 つである欧州電気通信標準化機構 (ETSI) は、Cyber Resilience Act (CRA) の下で欧州の事業者が満たす必要がある、17件の主要なサイバーセキュリティ標準について、承認プロセスを開始した。

Microsoft Power Pages のミスコンフィグが原因：13 組織における約 2,700万件のレコードが露出？

Misconfigured Microsoft Power Pages Likely Exposed 27 Million Records to ExfilSquad

2026/08/17 gbhackers — Microsoft Power Pages のミスコンフィグとみられる問題により、13 組織において約 2,700 万件のレコードが露出した可能性がある。この問題が明らかになったのは、被害組織から取得したとされる 382.64 GB のデータが、データ恐喝グループ ExfilSquad により Torrent で公開された後のことである。公開データを分析した研究者たちは、外部から読み取り可能な Microsoft Dataverse テーブルが存在していた証拠を確認している。こうした状況は、ゼロデイ・エクスプロイトやランサムウェアの展開、従来型のネットワーク侵入によるものではないとみられている。